Cookie
HTTP协议中用于在客户端存储会话状态的机制，服务器可通过Cookie识别用户身份和维持登录状态
核心事实
时间轴 (近 90 天)
会话令牌（Session Token）是用户登录成功后由服务端签发的临时凭证，通常以 Cookie 或 JWT 形式存储在客户端，具有有效期，过期后需重新认证。
主流浏览器正在逐步淘汰第三方Cookie并引入更严格的隐私保护机制
即便清除所有Cookie、使用隐身模式，指纹依然能够将用户重新关联起来
将Cookie有效期设置为20年实际效果等同于永不过期
会话型Cookie在浏览器关闭后即失效，而持久化Cookie通常设置为数天到一年不等
超长Cookie往往是分析工具或CDN的默认值未被审查所致，而非出于明确设计意图
存续时间越长的追踪标识一旦与其他数据集结合越容易被用于重新识别个人身份
Cookie和Token是网站识别已登录用户身份的核心凭证，持有者可在Token过期前完整模拟用户登录状态
与密码不同，Cookie/Token泄露通常不会触发"设备未知"等二次验证提示，因而更难被账号持有者即时察觉
Cookie交换方案退出模拟时的保存-恢复原始凭证过程本身构成攻击面，可能导致会话混淆或权限提升
还有 7 条时间轴事件
全部知识事实 (17)
Session Token（会话令牌）是 Web 应用在用户登录后生成的加密凭证，存储在浏览器 Cookie 中，用于证明用户身份，无需反复输入密码
70%待验证会话令牌（Session Token）是用户登录成功后由服务端签发的临时凭证，通常以 Cookie 或 JWT 形式存储在客户端，具有有效期，过期后需重新认证。
50%待验证主流浏览器正在逐步淘汰第三方Cookie并引入更严格的隐私保护机制
50%待验证即便清除所有Cookie、使用隐身模式，指纹依然能够将用户重新关联起来
50%待验证超长Cookie往往是分析工具或CDN的默认值未被审查所致，而非出于明确设计意图
50%待验证会话型Cookie在浏览器关闭后即失效，而持久化Cookie通常设置为数天到一年不等
50%待验证将Cookie有效期设置为20年实际效果等同于永不过期
50%待验证存续时间越长的追踪标识一旦与其他数据集结合越容易被用于重新识别个人身份
50%待验证Cookie和Token是网站识别已登录用户身份的核心凭证，持有者可在Token过期前完整模拟用户登录状态
50%待验证与密码不同，Cookie/Token泄露通常不会触发"设备未知"等二次验证提示，因而更难被账号持有者即时察觉
50%待验证多数Web框架推荐的用户模拟做法是交换Cookie，即将当前会话Cookie替换为目标用户的会话Cookie
50%待验证Cookie是由浏览器自动管理、随请求自动附带的凭证载体
50%待验证Cookie交换方案退出模拟时的保存-恢复原始凭证过程本身构成攻击面，可能导致会话混淆或权限提升
50%待验证浏览器 Cookie 是服务端下发给客户端的小型文本凭据，用于在无状态的 HTTP 协议上维持会话状态
50%待验证localStorage中的数据不会随每次HTTP请求自动发送到服务器，且在关闭浏览器或重启电脑后依然持久存在
50%待验证与Cookie不同，localStorage中的数据不会随HTTP请求自动发送到服务器，且关闭浏览器再打开数据依然存在
50%待验证sessionStorage 是会话级存储，关闭标签页即失效；Cookie 容量小且会随 HTTP 请求发送到服务器
50%